Was passiert mit unseren Daten?

Die Antworten werden in einer Webanwendung erfasst, die das BSI qualifizierten Dienstleistern bereitstellt. Es gehen keine Daten an Dritte, und der Bericht gehört Ihnen.

Sicherheit

DIN SPEC 27076: der CyberRisikoCheck für kleine Unternehmen

27 Anforderungen, sechs Bereiche, ein halber Tag bei Ihnen vor Ort. Danach ein Bericht, mit dem Sie tatsächlich etwas anfangen können.

Überblick

Ein Prüfverfahren, das für kleine Unternehmen gemacht wurde

Die meisten Sicherheitsstandards sind für große Organisationen geschrieben. Das IT-Grundschutz-Kompendium hat über 800 Seiten, eine ISO-27001-Zertifizierung bindet Monate. Für einen Betrieb mit zwanzig Leuten ist beides keine Option, und genau deshalb gibt es die DIN SPEC 27076 mit dem CyberRisikoCheck für KMU.

Sie ist 2023 unter Federführung des Bundesamts für Sicherheit in der Informationstechnik entstanden und beschreibt, wie ein IT-Dienstleister die IT-Sicherheit eines kleinen Unternehmens strukturiert bewertet. Das Verfahren dahinter heißt CyberRisikoCheck: Ein Dienstleister geht mit dem Unternehmen 27 Anforderungen aus sechs Bereichen durch, bewertet die Antworten nach den Vorgaben der Norm und übergibt einen Bericht mit priorisierten Empfehlungen.

Kein Audit, keine Zertifizierung, keine Prüfstelle. Eine Bestandsaufnahme mit klarem Ergebnis.

Wichtig zur Einordnung: Den CyberRisikoCheck über die Webanwendung des BSI dürfen nur Dienstleister durchführen, die vom BSI dafür qualifiziert und in dessen Verzeichnis gelistet sind. Wir bieten den IT-Sicherheitscheck entlang der Prüfbereiche der DIN SPEC 27076 an. Inhaltlich gehen wir dieselben Themen durch, das Ergebnis ist ein Bericht mit derselben Reihenfolge. Was wir nicht ausstellen, ist ein Ergebnis aus der BSI-Anwendung.

Für wen die Norm gedacht ist

Die sechs Bereiche der Norm

Organisation und Sensibilisierung

Wer ist zuständig, was wissen die Mitarbeiter, und kennt die Regeln jemand außer dem, der sie geschrieben hat?

Identitäts- und Berechtigungsmanagement

Eigene Konten, zweiter Faktor, Passwörter, und was passiert, wenn jemand das Unternehmen verlässt.

Datensicherung

Existiert ein Backup, liegt es getrennt vom Original, und hat es schon einmal jemand zurückgespielt?

Patch- und Änderungsmanagement

Kommen Updates an, und zwar auf allen Geräten, nicht nur auf denen, die sich melden.

Schutz vor Schadprogrammen

Ein Virenschutz, der läuft, meldet, und dessen Meldungen jemand tatsächlich liest.

IT-Systeme und Netzwerke

Firewall, WLAN, getrennte Netze, Fernzugang und Geräte, die noch Sicherheitsupdates bekommen.

Vorgespräch

Zwanzig Minuten am Telefon: Passt der Check zu Ihrem Unternehmen, und wer sollte dabei sein?

Das Gespräch

Einen halben Tag bei Ihnen vor Ort. Wir gehen die Prüfbereiche der Norm mit Ihnen durch. Vorbereiten müssen Sie nichts.

Auswertung

Die Antworten werden entlang der Vorgaben der Norm bewertet. Das Ergebnis ist eine Einschätzung und, wichtiger, eine Reihenfolge.

Bericht

Sie bekommen ihn schriftlich, und wir gehen ihn gemeinsam durch. Darin stehen konkrete Maßnahmen, keine allgemeinen Ratschläge.

Häufige Fragen zur DIN SPEC 27076

Ist der CyberRisikoCheck eine Zertifizierung?
Nein. Es ist eine strukturierte Bestandsaufnahme mit Bericht. Es gibt kein Zertifikat, keine Prüfplakette und keine Pflicht zur Wiederholung. Genau das macht ihn für kleine Unternehmen brauchbar.

Wie lange dauert das?
Der Termin bei Ihnen dauert einen halben Tag, Bericht und Besprechung folgen innerhalb weniger Tage. Vorbereiten müssen Sie nichts, und wo Sie etwas nicht wissen, ist auch das ein Ergebnis.

Für wen ist die DIN SPEC 27076 gedacht?
Für Unternehmen mit weniger als 50 Beschäftigten ohne eigene IT-Abteilung. Wer deutlich größer ist, fährt mit einem eigenen Sicherheitskonzept besser. Das sagen wir Ihnen dann auch.

Führen Sie den CyberRisikoCheck des BSI durch?
Die Webanwendung des BSI ist qualifizierten und dort gelisteten Dienstleistern vorbehalten. Wir arbeiten entlang der Prüfbereiche der DIN SPEC 27076 mit eigenem Bericht. Wenn Sie ausdrücklich ein Ergebnis aus der BSI-Anwendung brauchen, sagen wir Ihnen das und nennen Ihnen einen gelisteten Anbieter.

Muss ich danach etwas beauftragen?
Nein. Sie können den Bericht mit Ihrem bisherigen Dienstleister umsetzen. Wenn Sie wollen, machen wir es. Der Check ist keine Verkaufsveranstaltung.

Was der Check nicht ist

Wo steht Ihre IT gerade?

Im Erstgespräch klären wir in zwanzig Minuten, ob der CyberRisikoCheck für Sie passt. Wenn nicht, sagen wir Ihnen das und nennen die Alternative.